Нужно ли отдельное согласие на СМС-информирование клиента об одобрении или отказе по услуге?

Требуется ли отдельное согласие на обработку номера телефона для SMS-сообщения о решении по заявке

Информирование конкретного клиента о результатах рассмотрения его собственной заявки (одобрение/отказ) не является рекламой. По определению реклама адресована «неопределенному кругу лиц» и направлена на продвижение товара на рынке:

реклама - информация, распространенная любым способом, в любой форме и с использованием любых средств, адресованная неопределенному кругу лиц и направленная на привлечение внимания к объекту рекламирования, формирование или поддержание интереса к нему и его продвижение на рынке;
— п. 1 ст. 3 ФЗ «О рекламе»

Сообщение о статусе конкретной заявки обращено к одному определённому лицу о его личном обращении и не имеет цели привлечения новых клиентов — это не реклама. Поэтому требования ст. 18 ФЗ «О рекламе» (предварительное согласие абонента на получение рекламы) и ст. 15 ФЗ «О персональных данных» (обработка в целях продвижения товаров, работ, услуг на рынке) к такому информированию не применяются.

Сама обработка номера телефона для такой цели покрывается уже данным согласием, если его текст включает цель «рассмотрение заявки» и (или) «оказание услуги», и не выходит за пределы этой цели:

Согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным . Согласие на обработку персональных данных может быть дано субъектом персональных данных или его представителем в любой позволяющей подтвердить факт его получения форме, если иное не установлено федеральным законом.
— ч. 1 ст. 9 ФЗ «О персональных данных»

Обработка персональных данных должна ограничиваться достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, несовместимая с целями сбора персональных данных.
— ч. 2 ст. 5 ФЗ «О персональных данных»

Ключевой момент — соответствие цели. Информирование о решении по заявке логически входит в цель «рассмотрение заявки»: иначе клиент просто не узнает результат. Если же в действующем согласии цель сформулирована узко (например, только «оказание услуги», без охвата этапа рассмотрения и уведомления), безопаснее явно вписать в согласие формулировку «информирование о ходе и результатах рассмотрения заявки, в том числе посредством направления SMS-сообщений на указанный номер телефона». Отдельного второго согласия на обработку номера для цели информирования о решении, как правило, не требуется — достаточно, чтобы эта цель охватывалась действующим согласием; уточняющая правка текста согласия снижает риск признания обработки несовместимой с заявленной целью (ч. 2 ст. 5 ФЗ-152). Такой вывод согласуется и с тем, что при заключении договора обработка номера возможна и вовсе без согласия — для исполнения договора (п. 5 ч. 1 ст. 6 ФЗ-152), поскольку информирование о допуске к услуге обслуживает исполнение договора.

Требуется ли согласие клиента на смс-рассылку (рекламную/маркетинговую)

Ответ зависит от того, что понимать под «смс-рассылкой». Если речь только о сообщениях о статусе конкретной заявки конкретного лица — отдельного согласия на рассылку не нужно (см. предыдущий блок: это не реклама). Если же планируется рассылка рекламных/маркетинговых сообщений (акции, продвижение услуг, рассылка по базе номеров абонентам), то действуют два самостоятельных требующих предварительного согласия режима.

1. Предварительное согласие абонента на получение рекламы по сетям электросвязи (ст. 18 ФЗ «О рекламе»):

Распространение рекламы по сетям электросвязи, в том числе посредством использования телефонной, факсимильной, подвижной радиотелефонной связи, допускается только при условии предварительного согласия абонента или адресата на получение рекламы. При этом реклама признается распространенной без предварительного согласия абонента или адресата, если рекламораспространитель не докажет, что такое согласие было получено. Рекламораспространитель обязан немедленно прекратить распространение рекламы в адрес лица, обратившегося к нему с таким требованием.
— ч. 1 ст. 18 ФЗ «О рекламе»

Здесь бремя доказательства получения согласия лежит на распространителе: если он не докажет согласие абонента, реклама считается распространённой без него, и клиент вправе потребовать немедленного прекращения рассылки. Выданное для обработки ПДн согласие «на оказание услуги» не заменяет согласия абонента на получение рекламы — это разные правовые институты.

2. Предварительное согласие субъекта ПДн на обработку данных в целях продвижения товаров/услуг (ст. 15 ФЗ «О персональных данных»):

Обработка персональных данных в целях продвижения товаров, работ, услуг на рынке путем осуществления прямых контактов с потенциальным потребителем с помощью средств связи, а также в целях политической агитации допускается только при условии предварительного согласия субъекта персональных данных. Указанная обработка персональных данных признается осуществляемой без предварительного согласия субъекта персональных данных, если оператор не докажет, что такое согласие было получено.
— ч. 1 ст. 15 ФЗ «О персональных данных»

То есть для рекламной смс-рассылки нужно не только согласие абонента на получение рекламы (ст. 18 ФЗ «О рекламе»), но и отдельное согласие субъекта на обработку его персональных данных именно в цели «продвижение товаров, работ, услуг». Обработка номера телефона, собранного для рассмотрения заявки, в целях маркетинговой рассылки уже несовместима с первоначальной целью сбора (ч. 2 ст. 5 ФЗ-152) и потому требует самостоятельного согласия.

Последствия несоблюдения. Обработка ПДн без согласия либо несовместимая с целями сбора влечёт административную ответственность:

Обработка персональных данных в случаях, не предусмотренных законодательством Российской Федерации в области персональных данных, либо обработка персональных данных, несовместимая с целями сбора персональных данных, за исключением случаев, предусмотренных частями 2, 11 - 18 настоящей статьи и статьей 17.13 настоящего Кодекса , если эти действия не содержат уголовно наказуемого деяния
— ч. 1 и 2 ст. 13.11 КоАП РФ

Нарушение рекламодателем, рекламопроизводителем или рекламораспространителем законодательства о рекламе, за исключением случаев, предусмотренных частями 2 - 17 настоящей статьи, частью 4 статьи 14.3 1 , статьями 14.37, 14.38, 19.31 настоящего Кодекса, - (В редакции федеральных законов от 23.07.2013 № 200-ФЗ, от 21.10.2013 № 274-ФЗ, от 29.06.2015 № 175-ФЗ, от 14.07.2022 № 259-ФЗ, от 17.02.2023 № 32-ФЗ, от 24.06.2023 № 274-ФЗ) влечет наложение административного штрафа на граждан в размере от двух тысяч до двух тысяч пятисот рублей; на должностных лиц - от четырех тысяч до двадцати тысяч рублей; на юридических лиц - от ста тысяч до пятисот тысяч рублей. 2. Нарушение порядка прерывания рекламой теле- или радиопрограммы, теле- или радиопередачи либо совмещения рекламы с телепрограммой, превышение допустимого законодательством о рекламе объема рекламы в теле- или радиопрограммах, а равно распространение рекламы в теле- или радиопрограммах в дни траура, объявленные в Российской Федерации, - влечет наложение административного штрафа на должностных лиц в размере от десяти тысяч до двадцати тысяч рублей; на юридических лиц - от двухсот тысяч до пятисот тысяч рублей. 3. Превышение допустимого законодательством о рекламе объема рекламы, распространяемой в периодических печатных изданиях, - влечет наложение административного штрафа на должностных лиц в размере от четырех тысяч до семи тысяч рублей; на юридических лиц - от сорока тысяч до ста тысяч рублей. 4.
— ч. 1 ст. 14.3 КоАП РФ

Кроме того, ФЗ от 06.04.2024 № 78-ФЗ дополнил ст. 14.3 КоАП ч. 4.1, устанавливающей спецсостав за нарушение требований к рекламе, распространяемой по сетям электросвязи (в т.ч. рассылка без согласия абонента). Поэтому для рекламной рассылки согласие клиента на саму рассылку и на обработку номера в маркетинговых целях необходимо оформить отдельно и в письменной/документируемой форме, с возможностью доказать факт его получения.

Вывод: (1) Для SMS о решении по конкретной заявке отдельное второе согласие на обработку номера не требуется — цель покрывается согласием «на рассмотрение заявки/оказание услуги», при этом формулировку цели рекомендуется явно дополнить «информированием о ходе и результатах рассмотрения заявки»; (2) Для рекламной смс-рассылки требуется отдельное согласие клиента на получение рекламы (ст. 18 ФЗ «О рекламе») и отдельное согласие на обработку ПДн в целях продвижения товаров/услуг (ст. 15 ФЗ-152), с документальным закреплением факта получения согласия.

Процедура, сроки, отзыв согласия и доказательства

Отзыв согласия / требование прекратить рассылку. Если клиент потребует прекратить обработку или рассылку — оператор обязан немедленно прекратить (это явно востребовано и в ФЗ «О рекламе», и в ФЗ «О персональных данных»):

Распространение рекламы по сетям электросвязи, в том числе посредством использования телефонной, факсимильной, подвижной радиотелефонной связи, допускается только при условии предварительного согласия абонента или адресата на получение рекламы. При этом реклама признается распространенной без предварительного согласия абонента или адресата, если рекламораспространитель не докажет, что такое согласие было получено. Рекламораспространитель обязан немедленно прекратить распространение рекламы в адрес лица, обратившегося к нему с таким требованием.
— ч. 1 ст. 18 ФЗ «О рекламе»

Обработка персональных данных в целях продвижения товаров, работ, услуг на рынке путем осуществления прямых контактов с потенциальным потребителем с помощью средств связи, а также в целях политической агитации допускается только при условии предварительного согласия субъекта персональных данных. Указанная обработка персональных данных признается осуществляемой без предварительного согласия субъекта персональных данных, если оператор не докажет, что такое согласие было получено.
— ч. 1 ст. 15 ФЗ «О персональных данных»

После поступления требования распространитель обязан немедленно исключить абонента из рассылки; при отзыве согласия на обработку ПДн оператор вправе продолжить обработку без согласия лишь при наличии законных оснований (п. 2–11 ч. 1 ст. 6 ФЗ-152), которых у обычной маркетинговой рассылки нет — поэтому данные для рассылки подлежат прекращению обработки и, по достижении цели, уничтожению (ч. 7 ст. 5 ФЗ-152).

Доказательства получения согласия. Бремя доказывания получения согласия возлагается на оператора:

Согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным . Согласие на обработку персональных данных может быть дано субъектом персональных данных или его представителем в любой позволяющей подтвердить факт его получения форме, если иное не установлено федеральным законом.
— ч. 1 ст. 9 ФЗ «О персональных данных»

Поэтому при оформлении заявки необходимо фиксировать документированно: дату и время получения, факт ознакомления и волеизъявления (чекбокс/электронная подпись/смс-код подтверждения), текст согласия и его цель. Для рекламной рассылки сверх того нужно зафиксировать именно согласие абонента на получение рекламы (ч. 1 ст. 18 ФЗ «О рекламе») — доказать его обязан распространитель.

Сроки. Хранить подтверждение согласия и журнал рассылки следует не дольше, чем этого требует цель обработки (ч. 7 ст. 5 ФЗ-152); документы, подтверждающие согласие, могут храниться дольше только при наличии законного основания (например, для защиты прав в споре). После окончания обработки (рассмотрения заявки, исполнения договора, прекращения рассылки) персональные данные уничтожаются либо обезличиваются (ч. 7 ст. 5 ФЗ-152).

Орган контроля и подсудность. Контроль соблюдения законодательства в области персональных данных отнесён к ведению уполномоченного органа (Роскомнадзор), который возбуждает дела об административных правонарушениях по ст. 13.11 КоАП РФ; контроль соблюдения законодательства о рекламе — к ведению ФАС России, возбуждающего дела по ст. 14.3 КоАП РФ (гл. 23 КоАП). Административные штрафы по этим составам — в ст. 13.11 и 14.3 КоАП РФ (для юридических лиц соответственно до 300 тыс. и до 500 тыс. рублей; спецсостав ч. 4.1 ст. 14.3 — за нарушение требований к рекламе по сетям электросвязи, рассылка без согласия абонента).

Условия применения развилки. Если планируемая рассылка ограничена только сообщениями о статусе конкретных заявок — согласие на рассылку не требуется (не реклама). Если к клиентам будут направляться иные (акционные, маркетинговые, информационные посторонним абонентам) сообщения — обязательны оба предварительных согласия. Начиная рассылку, исходите из того, что бремя доказывания — на вас.

Вывод: отзыв клиенту достаточно заявить в любой форме — оператор обязан немедленно прекратить рассылку/обработку; все факты получения согласий должны фиксироваться документированно, с доказательственной нагрузкой на оператора; контроль соблюдения — у Роскомнадзора (ПДн) и ФАС (реклама); штрафы для юридических лиц — по ст. 13.11 и ст. 14.3 КоАП РФ.